Je vais un cran plus loin: le partage en CG-NAT que m'impose Starlink, et donc pas d'adresse IPv4 publique, fait que mon réseau local est protégé, du moins en IPv4. Donc pas besoin de pare-feu.

Bonjour

Le CGNAT n'est pas différent la dessus du NAT de la box, c'est même strictement identique en terme de "protection" de ton réseau local ..
C'est juste que c'est pas le même équipement qui fait le NAT :
- BOX dans un cas,
- équipement CGN dans l'autre.

Du point de vue réseau sécurité, c'est strictement identique.

Deux points qui pourrait faire une différence:
- effectivement, sur le CGN l'opérateur contrôle un peu plus et ne va pas ouvrir tout. Ce qu'un humain sur sa boxe pourrait faire en désactivant toutes les sécurités et en redirigeant tout le trafic vers un host non protégé de son LAN. Mais y'a là deux actions bien spécifiques à faire d'un humain.
- en cas de DDOS, ta ligne et ton IP publique sont sur un lien à max 10 Gb, sur un CGN, cela sera du 100G voir 400G. Mais vu les pointes de DDSO actuelles qui se compte en Tb, cela ne changera pas trop ...

LeVieux